【eNet硅谷动力专稿】 IPTV为服务供应商提供了巨大的业务机会，使电信公司能够更有效地与电缆行业现有的三方服务相竞争，抵消正在下滑的语音业务收入并产生显著的额外收入。虽然IPTV能带更高的收益，但是IPTV业务对于网络基础架构也提出更高的要求：IPTV需要一个高安全性的智能网络，这一网络使服务供应商传输丰富内容的来增加利润的同时，还能够保护视频服务基础架构，减少用户的流失，建立一种长期的用户关系。 虽然IPTV不是运行在英特网上的，但是它一种在网络上基于IP的服务，其用户和服务可能是来自服务供应商网络之外的。困扰其他基于网络的危险，如邮件和英特网访问中遇到的黑客、威胁和漏洞，IPTV同样也可能遇到。历史上，黑客在服务应用的最初阶段----在安全对策还没有完全得到加强的时候----就已经很快地攫取了服务权限，造成了不利影响。而在服务应用的初级阶段，用户的意见和印象是最具有可塑性的。 IPTV供应商在他们最关键的应用初步阶段是不能够出现任何用户不满的。正因为如此，供应商们必须在一开始就为他们的IPTV网络建立起全面的安全策略。但是IPTV服务的全面安全计划是怎样的呢？ 首先也是最重要的，安全计划必须为内容、终端用户和网络本身提供多层的安全保护。另外，一个全面的IPTV安全策略必须考虑到网络中的所有区域----从供应商网络中的视频服务基础架构到“最后一码”接入终端用户的家用网络----必须不受到安全破坏。 IP是一个已经实现了多年的标准和一项被充分理解的技术。很多已经应用到其他IP服务中的概念和策略，现在也能够应用到IPTV和IPTV内容传输网络的保护中。但是，除了与其他基于IP的服务有内在的相似之处外，IPTV也有其独特的挑战。 例如，IPTV有独特的高带宽，实时传输的需求和不同的用户服务期望值。这些服务期望和结构上的不同使得很难将传统的保护技术经济地应用到视频服务基础架构中----我们需要一种新的方法。 此外，因为IPTV服务是与其他IP服务共享一个网络的，这些其他的IP服务是传输到供应商的用户库，所以保证IPTV的安全性是至关重要的。对IPTV服务或其他共享相同网络通道服务的安全攻击能够轻易地影响到网络中所有服务的有效性。随着HD电视和一般用户的电视设备规模的不断升级，如果出现信息丢失或因抖动而打断一个重要的电视播音，IPTV用户一定会怨声载道----即使这一抖动是由于其自身家用网络设计问题而导致的。因此，IPTV服务供应商需要一个对用户家中网络实施安全和保护的控制。 视频服务基础架构 保护视频服务基础架构不受到攻击需要维持在光学性能水平上的视频流和设备，任何使视频流或服务设备停顿下来的事情都有可能降低用户体验的质量，这是绝对不能允许的。多视频服务器导致了为拒绝服务攻击(DoS)提供多重目标，该攻击将会使服务器泛滥着非法请求或者通过运行一个端口UDP泛滥(UDP flood)，而使服务器充满非法请求。这一恶意攻击攫取处理循环的服务器去处理合法请求。如果不完善的设备或连接创建了无意的DoS攻击环境，这就是个复合的问题了。例如，不完善的存储器或一个松散的网络连接可能引起一个STB不断的请求重新发送信息包。 用户的直接互动使视频服务基础架构非常容易受到DoS的攻击。而网络防火墙能够补充网络中DoS保护的特性，如果这些防火墙能够监测每秒钟每个用户的请求数量并能够升级以支持大量的用户，那么这一做法将有效地满足用户的需求。但是，这些防火墙只能持续地保持每秒几个GB，这样就需要大量的防火墙去支持视频服务基础架构。通过防火墙发送视频包也增加了时延，每一个STB都需要更多的缓冲时间。 视频点播(Video on Demand)服务器也容易受到传输控制协议(TCP)的攻击以及在应用层面的攻击。为保护VoD服务器不受正面攻击及对随机视频应用的背面攻击，就需要有签名或模式吻合的运作能力。因此，结合了入侵探测和保护功能的网络防火墙，能够识别攻击签名，这对于保护VoD服务器将非常有效。 但是为每个视频服务器配备一个专用的安全设备不是一个经济的解决方案。在一个有很多视频服务办公室的大型供应商网络中，管理和更新众多的防火墙并监测攻击，这在操作上是一种挑战。实际上，拆下没有IDP功能的高容量防火墙通常比他们要保护的服务器成本更高。最终，为了实现更具成本优势的安全保护，安全设备的数量必须要减少。 对这个问题的一个解决方案就是利用不对称的交通路由，这样防火墙/IDP网关就不会超负荷，实际所需要的设备就会减少。这个不对称方法使下游的视频交通不会对防火墙/IDP网关造成压力，并且只关注本来就是低带宽的上游控制交通。 服务供应商能够决定网络保护政策，并在联合防火墙/IDP功能中设置滤波器以探测和阻止不希望出现的行为。例如，服务供应商能够选择从一个指定的来源发送到服务基础架构的请求数量。对一个指定的IP用户，网络防火墙能够支持每秒的请求数量并设置一个极限，在一段固定的时间内(在这里是，每秒)超过了这一极限的请求就要被放弃。这样，如果一个服务器正在收到过量的请求，供应商能够通过网络防火墙设备保持对其大多数用户的服务质量，同时对犯规用户的服务只造成片刻的影响。对于违反网络政策的不合理请求，其过量的级别或持续的水平，能够被提升为一种警告，且服务请求被暂时地拒绝。这一方法自动地阻止了DoS攻击，并使网络运营商能够留意到一个攻击实际发生的条件和源头。 设备供应商已经建立起了可接受的交通模式签名以及恶意攻击签名。这样视频服务基础架构通过寻找已知攻击的签名匹配就能够避免受到正面的应用攻击。当然，这种方法只是众多方法中的一种，因为它只有在签名文件得到频繁更新的情况下，才能发挥有强大的作用。 家庭网络的漏洞 随着家庭网络的使用和普及，像英特网服务，文件传输，线上游戏和VoIP呼叫一样，IPTV服务将会由同样的家庭网络来传输。对服务供应商不利的一面是，家庭网络中有了额外的用户活动，终端用户将对其服务传输质量有自己的看法，而服务供应商很难管理这些主观价值的判断。更糟糕的是，DIY家庭网络设计不仅可能带来有问题的连接，而且可能出现安全漏洞。在PC上的一个安全漏洞为对网络带宽进行的消耗性攻击打开了一个缺口，它可能降低供应商的服务质量并导致用户的不满，增加支持成本以及有可能的注销服务。 因为服务供应商为终端用户提供了更多的先进服务，因而考虑“最后一码”的接入安全需求是很重要的。必须要隔离对一种服务的攻击且不影响到家庭网络上的其它服务。因为要在家中运行，IPTV有最高的服务性能要求，所以它对由于安全攻击而造成的网络性能降级非常敏感。供应商很少能控制到缆线机顶盒和家庭网关以外的家庭网络，这对于IPTV服务供应商来说是一个挑战。一些技术，如网络节点认证技术，802.1x及其它技术，由于能够在一个设备连接到网络之前就执行一个特定的安全政策，这样他们在IPTV服务领域可能是非常有用的。 作为一种新的服务，从安全角度和一个综合的角度来看，IPTV是非常容易受到攻击的。为保证他们新的IPTV服务的成功，供应商们在一开始就需要在他们的网络中建立一个全面的，以网络为中心的安全策略。这一安全策略需要既全面，又高效可靠，并且应该考虑到在服务供应商和家庭网络中所有可能出现的安全破绽。
【责任编辑胡滢】
| 
